Seminar Flask Formulare, Validierung und Datei-Uploads

Formulare verbinden Browser, Fachlogik und Persistenz und sind damit ein häufiger Ort für Datenfehler und Sicherheitslücken. Ein sauberer Ablauf trennt Darstellung, Validierung, Verarbeitung und Rückmeldung.

Das Seminar behandelt klassische Formulare, serverseitige Validatoren, CSRF-Schutz, Post/Redirect/Get und sichere Datei-Uploads. Fehlermeldungen und Barrieren werden aus Sicht realer Nutzerflüsse getestet.

Inhaltsübersicht

1. Formulare und serverseitige Validierung
2. CSRF-Schutz und robuste Eingabeprüfung
3. Datei-Uploads und sichere Verarbeitung
4. Makros, Includes und wiederverwendbare Komponenten
5. Request-Daten und Kontextobjekte
6. CSRF, Cookies und Sitzungsabsicherung
7. Routen- und Browserfluss-Tests
8. Praxisprojekt und Wissenssicherung

Lernziele

• Formularabläufe mit Post/Redirect/Get strukturiert umsetzen.
• Technische und fachliche Validierung sauber trennen.
• CSRF-Schutz für cookieauthentifizierte Requests integrieren.
• Datei-Uploads gegen Größen-, Typ- und Pfadangriffe absichern.
• Erfolgs-, Fehler- und Manipulationsfälle automatisiert testen.

Zielgruppe

Flask-Entwickler und Webteams, die datenerfassende Oberflächen, Verwaltungsdialoge oder Upload-Funktionen sicher umsetzen.

Voraussetzungen

Python- und Flask-Grundkenntnisse sowie Basiswissen zu HTML-Formularen und HTTP-Methoden.

Seminarinhalte

1. Formulare und serverseitige Validierung

Formularverarbeitung wird als klarer Ablauf aus Anzeige, Eingabeprüfung, Verarbeitung und Rückmeldung umgesetzt.

1. Schritt 1: GET- und POST-Verhalten trennen und das Post/Redirect/Get-Muster anwenden.
2. Schritt 2: Felder, Validatoren und fachliche Abhängigkeiten in Formular- beziehungsweise Schemaobjekten definieren.
3. Schritt 3: Fehlermeldungen feldbezogen, verständlich und ohne Verlust eingegebener Werte ausgeben.
4. Schritt 4: Erfolgs- und Fehlerpfade mit realistischen Daten über den Test-Client prüfen.

2. CSRF-Schutz und robuste Eingabeprüfung

Verändernde Anfragen werden gegen fremde Ursprünge geschützt und Eingaberegeln zentral durchgesetzt.

1. Schritt 1: CSRF-Token aktivieren, in Formulare integrieren und für APIs bewusst anders behandeln.
2. Schritt 2: Längen, Formate, Wertebereiche und erlaubte Auswahlwerte bereits am Rand der Anwendung prüfen.
3. Schritt 3: Fachliche Validierung von Datenbankzugriff und Seiteneffekten trennen.
4. Schritt 4: Manipulierte Tokens, doppelte Übermittlungen und ungültige Zeichensätze automatisiert testen.

3. Datei-Uploads und sichere Verarbeitung

Uploads werden als untrusted input behandelt und mit Größen-, Typ- und Speicherregeln abgesichert.

1. Schritt 1: Multipart-Formulare, Request-Limits und erlaubte Dateitypen konfigurieren.
2. Schritt 2: Dateinamen normalisieren, zufällige Zielnamen vergeben und Pfadmanipulation verhindern.
3. Schritt 3: Dateien außerhalb direkt ausführbarer Webverzeichnisse speichern und Abrufrechte prüfen.
4. Schritt 4: Zu große, leere, doppelte und absichtlich falsch deklarierte Dateien testen.

4. Makros, Includes und wiederverwendbare Komponenten

Wiederkehrende Oberflächenelemente werden als kleine, testbare Template-Komponenten gekapselt.

1. Schritt 1: Makros für Formularfelder, Tabellen, Hinweise und Pagination definieren.
2. Schritt 2: Includes nur für klar abgegrenzte Fragmente verwenden und Kontextübergaben explizit machen.
3. Schritt 3: Komponentenvarianten über Parameter statt kopierter Templates abbilden.
4. Schritt 4: HTML-Ausgabe der wichtigsten Komponenten mit Snapshot- oder Strukturtests prüfen.

5. Request-Daten und Kontextobjekte

Eingabedaten aus URL, Formular, JSON, Cookies und Headern werden kontrolliert gelesen und normalisiert.

1. Schritt 1: Query-Parameter, Pfadwerte und Formulardaten mit expliziten Standardwerten auslesen.
2. Schritt 2: JSON-Nachrichten anhand des Inhaltstyps prüfen und ungültige Nutzdaten eindeutig ablehnen.
3. Schritt 3: request, session, g und current_app nach Lebensdauer und Verantwortlichkeit einsetzen.
4. Schritt 4: Grenzfälle wie fehlende Felder, Mehrfachwerte und große Request-Körper mit Tests absichern.

6. CSRF, Cookies und Sitzungsabsicherung

Browserbasierte Zustandsänderungen und Sitzungen werden gegen fremde Ursprünge und Diebstahl geschützt.

1. Schritt 1: CSRF-Schutz für alle cookieauthentifizierten verändernden Requests aktivieren.
2. Schritt 2: Secure, HttpOnly, SameSite und kurze Lebensdauer für Sitzungscookies konfigurieren.
3. Schritt 3: Session-Fixation durch Erneuerung und session.clear bei Identitätswechsel verhindern.
4. Schritt 4: Cross-Site- und Replay-Szenarien mit realistischen Requests testen.

7. Routen- und Browserfluss-Tests

HTTP-Verhalten wird ohne realen Server über den Flask-Test-Client geprüft.

1. Schritt 1: GET-, POST- und Redirect-Ketten mit Statuscodes und Headern testen.
2. Schritt 2: Formular-, JSON-, Datei- und Cookie-Daten realistisch übermitteln.
3. Schritt 3: Anmeldezustand und Request-Kontext kontrolliert erhalten.
4. Schritt 4: HTML-Inhalte gezielt auf Semantik und Fehlermeldungen statt auf vollständige Zeichenketten prüfen.

Praxisprojekt

Ein mehrteiliges Verwaltungsformular wird mit Validierung, CSRF und verständlicher Fehlerausgabe aufgebaut. Danach folgt ein Uploadprozess mit Größenlimit, sicherer Ablage, Berechtigungsprüfung und Negativtests.

Methodik

Kurze fachliche Einordnungen wechseln mit Demonstrationen, geführten Umsetzungen, Fehleranalysen und eigenständigen Übungen. Jede größere Änderung wird durch einen Test, eine Diagnose oder eine betriebliche Prüfroutine abgesichert. Die Arbeitsstände werden schrittweise zu einem durchgängigen Beispielprojekt zusammengeführt.